IPSG防IP与MAC欺骗：交换机绑定表配置与DHCP Snooping实战指南

凌晨两点接到值班电话，财务部整个办公室集体断网。赶过去一查，交换机上IP冲突告警刷屏，ARP表乱成一锅粥——有人图省事，把自己笔记本电脑的IP手动改成了打印服务器的地址，还正好是同一台交换机下的两个端口。这个场景，做过园区网运维的朋友应该都不陌生。

IP与MAC地址绑定（IPSG，IP Source Guard）就是专门治这种乱象的机制。它让交换机在收到报文时先做一次“身份核验”，只有在源IP和源MAC都对得上绑定表的情况下才放行，对不上一律丢弃。今天这篇文章，我把华为、H3C、思科上配置IPSG的完整流程、动态绑定原理和踩坑记录整理出来，给刚接触网络安全的运维新人做个参考。老手们也可以看看后半部分的排错思路，说不定能避开我当年踩进去的那些坑。

1. 先说清楚：IPSG到底在防什么

1.1 一个真实的内网事故

回到开头那个案例。财务部的打印机一直用固定IP 192.168.10.50，某天有个同事为了临时共享文件，把自己电脑改成静态IP 192.168.10.50。结果打印机掉线，半个楼层的人访问不了共享盘，网关的ARP表也开始抖动——因为终端发往网关的报文跑到了那台笔记本上，整个VLAN的通信被搅乱。

这种“私改IP”只是最轻微的情况。更难缠的是恶意行为：攻击者抓包拿到别人电脑的IP和MAC，把自己改成领导或服务器的地址，然后绕过准入直接访问核心资源；或者伪装成网关IP，向全网发送ARP应答，把流量都引到自己机器上做中间人窃听。遇到这类攻击，传统ACL基本没用——因为交换机分不清进来的报文到底是真是假，它只认IP和MAC，而这两个字段靠软件就能随便改。

IPSG解决的就是这个问题：交换机在二层端口入口处做强制检查，报文源IP、源MAC必须和绑定表匹配才允许通过，不匹配的直接丢。这样一来，就算攻击者知道别人的IP和MAC，只要他换了一台设备接入，或者换了端口，绑定关系就对不上，伪造流量当场被拦。

1.2 IPSG识别“真假”报文的原理

IPSG的核心是一张绑定表，表里记录四元组：VLAN、接口、IP地址、MAC地址。交换机收到一个IP报文时，把报文里的源IP、源MAC提取出来，和表项比对。匹配上了，放行；匹配不上，丢弃。

这里有个关键细节：IPSG的默认策略是白名单机制。一个端口只要开启了IPSG，那么该端口收到的所有IP报文，都必须能在绑定表里找到对应条目才允许转发。也就是说，任何没有绑定表的终端，一开IPSG就直接断网。这和我们平时做ACL“默认放行，只拦特定流量”的思路完全相反——所以部署时一定要提前想清楚，哪些设备走DHCP动态获取地址，哪些设备必须静态绑定，否则上线那一刻就是大面积故障时刻。

需要注意的是，IPSG检查的是报文里的二层源MAC和三层源IP，不是目的地址。目的地址的转发仍然由三层路由或二层交换决定。这也是它和端口安全（Port Security）的区别：端口安全管的是MAC地址学习数量，IPSG管的是IP和MAC的配对关系。

1.3 动态绑定与静态绑定：两种模式怎么选

动态绑定是指交换机通过DHCP Snooping自动学习终端的IP、MAC、接口、VLAN信息。终端正常通过DHCP获取地址，交换机在后台记录一条绑定表项，整个过程无需人工干预。这是绝大多数终端的接入方式，也是IPSG最常见的使用形态。

静态绑定则是管理员手工在接口下配置“某个IP只能由某块网卡使用”。打印机、服务器、监控摄像头、门禁控制器这种固定IP设备，必须走静态绑定。原因很简单：这类设备不会发DHCP请求，如果只开动态IPSG，它们发出的报文在绑定表里找不到对应条目，会被一律丢光。

选择上我的建议是按设备角色区分：终端默认走DHCP动态绑定；服务器、打印机、网络设备、IoT终端一律静态绑定；安全要求高、终端数量少的区域（比如财务室、研发核心区），可以动态+静态混合，再叠加准入认证，效果最好。

2. 绑定表是怎么长出来的：DHCP Snooping是关键前置

2.1 DHCP Snooping监听与绑定表生成流程

IPSG本身不生成绑定表，它的数据来源是DHCP Snooping。所以部署IPSG之前，必须先把DHCP Snooping打开。

DHCP Snooping的基本原理是：交换机监听终端和DHCP服务器之间的交互报文，在终端成功获取到地址后，把这次分配结果记录到本地表里。完整的流程可以简化成四个步骤：

text复制1. 终端发出 DHCP Discover（广播找服务器）
2. DHCP服务器回应 DHCP Offer（提供地址）
3. 终端发出 DHCP Request（确认要这个地址）
4. DHCP服务器回应 DHCP Ack（确认分配）
交换机在收到 DHCP Ack 后，记录绑定表：
VLAN 10 | GigabitEthernet0/0/1 | 192.168.10.101 | 00e0-4c12-3456 | 租约8小时

实际实现的记录时机在不同厂商、不同版本上略有差异，有的在DHCP Request阶段就记录了初步信息，等Ack后再确认，但原理一致。这个绑定表不是永久存在的，它跟随DHCP租约老化。租约到期、终端续租失败、接口down掉，表项都会相应更新或删除。

2.2 一张绑定表长什么样

用华为交换机举例，执行 display dhcp snooping user-bind all，输出大概是：

text复制Port                     VLAN   IP Address       MAC Address       Type
GigabitEthernet0/0/1     10     192.168.10.101   00e0-4c12-3456    DHCP
GigabitEthernet0/0/5     10     192.168.10.50    00e0-a1b2-c3d4    static

表格里的字段含义我用一张表拆开说明：

看到Type字段就能判断绑定表是动态还是静态产生的。排障时如果发现终端明明在正常上网，绑定表却没有对应表项，那多半是DHCP Snooping没开全，或者接口不在VLAN内，这是排查的第一步。

2.3 信任口与非信任口的设计逻辑

DHCP Snooping里还有一对重要概念：信任口（trusted）和非信任口（untrusted）。

凡是连接合法DHCP服务器的端口，或者向上连接到核心交换机、路由器的上行端口，必须配置为信任口。其他所有连接终端的端口，都是非信任口。默认情况下，所有端口都是非信任口，交换机只信任自己配置过的上行口。

为什么要区分？因为DHCP Snooping不仅能生成绑定表，还能防御伪造DHCP服务器攻击。如果某个终端私自搭建了一个DHCP服务器发Offer，交换机在非信任口上收到这个Offer，会直接丢弃，终端就不会拿到恶意分配的地址。

这里有个配置上最容易翻车的地方：如果把连接DHCP服务器的端口忘了配成信任口，DHCP Snooping会把服务器发出来的Offer和Ack当成非法报文丢掉，结果就是全网终端都获取不到IP地址。更隐蔽的是，如果三层网关在核心交换机上，核心和接入交换机之间的trunk口也必须配信任口，否则下联接入交换机的终端同样拿不到地址。我见过太多人在这上面卡了一下午，配置看着全对，就是全网获取不到IP。

3. 华为交换机IPSG配置实操：从零到生效

3.1 第一步：全局与VLAN开启DHCP Snooping

华为交换机的配置我从VRP系统开始写，这是国内用得最多的平台。先进入系统视图，开启DHCP功能和DHCP Snooping：

text复制system-view
dhcp enable
dhcp snooping enable

注意，dhcp enable 是开启交换机的DHCP功能，有的版本即使不做DHCP服务器也需要这条，否则后面命令敲不进去。dhcp snooping enable 是全局开启DHCP Snooping能力。

接下来必须在对应VLAN内再开一次：

text复制vlan 10
 dhcp snooping enable

这一步特别容易被忽略。全局开启只是打开了能力开关，VLAN内开启才是真正让这个VLAN里的端口开始监听DHCP报文并生成绑定表。两个都开了，DHCP Snooping才算生效。

3.2 第二步：配置信任口

找到连接DHCP服务器或上行到核心交换机的端口，配置为信任口。比如上联口是GigabitEthernet0/0/24：

text复制interface GigabitEthernet0/0/24
 dhcp snooping trusted

如果是trunk口汇聚了多个VLAN，在trunk口上配置trusted后，所有VLAN的DHCP报文都信任。如果DHCP服务器在核心上，核心和接入交换机之间的所有互联端口都要配；如果核心上还划分了多个VLAN，接入交换机上联口通常是trunk，这一个trusted配置就覆盖了全部VLAN，不需要在每个VLAN里单独再配。

3.3 第三步：用户侧使能IPSG

绑定表生成机制跑起来之后，就可以开启IPSG了。华为支持在VLAN视图下批量使能，也可以在接口视图下单独使能。批量使能一整个VLAN：

text复制vlan 10
 ip source check user-bind enable

这样做的好处是所有属于VLAN 10的端口全部开启IPSG，不用一个口一个口敲。如果只想在某几个端口开，比如只对财务室所在的端口开，那就进接口视图：

text复制interface GigabitEthernet0/0/1
 ip source check user-bind enable

两种方式可以混用。实际项目里我更推荐先在VLAN下批量开，测试通过后，再根据安全策略对个别端口单独收窄或放开。

3.4 静态绑定：给固定IP设备开绿灯

如果VLAN里有打印机、服务器、监控摄像头等静态IP设备，必须在接口下手工配置静态绑定，否则开启IPSG的瞬间这些设备全部断网。华为的配置命令如下：

text复制interface GigabitEthernet0/0/5
 ip source check user-bind ip-address 192.168.10.50 mac-address 00e0-a1b2-c3d4

这条命令的含义是：这个端口上，只允许源IP为192.168.10.50、源MAC为00e0-a1b2-c3d4的报文通过。由于绑定表是接口维度的，如果打印机接在别的端口，这项绑定不会生效，所以同一台设备换端口后需要重新配置或者在每个可能使用的端口都加上绑定。

不同版本里静态绑定的命令形式略有差异，有的版本还支持在这种绑定后面追加vlan参数，绑定更精确。配置前建议先 display version 看一下设备型号和VRP版本，再对照官方命令手册确认。配置完了，可以用 display ip source check user-bind all 查看这条静态条目是否成功写入。

3.5 配置回读确认

配置完成后，建议做三件事确认没有遗漏：

text复制display dhcp snooping user-bind all
display ip source check user-bind all
display current-configuration | include ip source check

第一句看DHCP动态学习到的表项；第二句看IPSG当前实际引用的绑定表（包含动态+静态）；第三句确认配置没有因为手误被系统自动撤销。我习惯把第三步的过滤关键词换成 dhcp snooping 一起看，把信任口、VLAN使能情况一次过目，避免漏配。

4. H3C与思科的对应配置：换个品牌不慌张

4.1 H3C Comware的命令差异

H3C的Comware平台和华为VRP很相似，但IPSG的关键命令并不一样，最容易搞混。H3C开启IPSG用的是 ip verify source，而不是华为的 ip source check。

完整配置过程：

text复制system-view
dhcp snooping enable
vlan 10
 dhcp snooping enable
interface GigabitEthernet1/0/24
 dhcp snooping trust
interface GigabitEthernet1/0/1
 ip verify source ip-address mac-address

ip verify source ip-address mac-address 表示同时检查报文的源IP和源MAC，二选一只写 ip-address 或 mac-address 就是只校验其中一个参数。接口下的静态绑定命令是：

text复制interface GigabitEthernet1/0/5
 ip source binding ip-address 192.168.10.50 mac-address 00e0-a1b2-c3d4

查看绑定表和IPSG状态用：

text复制display ip verify source
display dhcp snooping binding

H3C还有一个细节：ip verify source 命令在部分版本里可以加 vlan 参数，限制到具体VLAN。如果接口同时承载多个VLAN，建议加上，否则所有VLAN的报文都按同一个标准校验，容易出现误伤。

4.2 思科的配置方式

思科交换机上IPSG通常和DHCP Snooping、端口安全联动，命令风格和华为系差别较大。以IOS为例：

text复制ip dhcp snooping
ip dhcp snooping vlan 10
interface gi1/0/24
 ip dhcp snooping trust
interface gi1/0/1
 ip verify source port-security

ip verify source port-security 这条命令同时启用了IP源地址校验和端口安全，端口上只能通过DHCP Snooping绑定过的IP所发出的流量。静态绑定用全局配置：

text复制ip source binding 192.168.10.50 00e0.a1b2.c3d4 vlan 10 interface gi1/0/5

查看用：

text复制show ip verify source
show ip dhcp snooping binding

思科的 show ip verify source 输出里有 Filter Type 一列，显示 ip-mac 表示同时校验IP和MAC，显示 ip 表示仅校验IP。排查时看到Filters类型不对，就能定位到是不是配置的时候漏了参数。

4.3 三平台命令对照

这张表建议收藏。虽然不同版本命令有细微差异，但大方向一致：先开DHCP Snooping，再配信任口，最后开IPSG。只要把这三步的逻辑想通，换任何品牌都能顺着思路把命令对着文档敲出来。

5. 验证与攻击模拟：确认IPSG真的在干活

5.1 查看绑定表：一切验证的起点

配置完IPSG，第一步不是急着测试，而是先确认绑定表是否正常。如果绑定表是空的，那不用测也知道肯定不通。以华为为例，正常状态应该是：

text复制[Switch] display ip source check user-bind all
Port                     VLAN   IP Address       MAC Address       Type
GigabitEthernet0/0/1     10     192.168.10.101   00e0-4c12-3456    DHCP
GigabitEthernet0/0/5     10     192.168.10.50    00e0-a1b2-c3d4    static

看到动态表项和静态表项并存，说明绑定表工作正常。此时再去测试终端，能ping通网关、能访问服务器，IPSG放行逻辑没有任何问题。如果看不到表项，优先检查DHCP Snooping在VLAN内有没有开启，信任口有没有配，终端是不是真的通过DHCP获取的地址。

5.2 模拟篡改IP/MAC实测

我习惯在测试环境里做一轮攻击模拟，验证设备是不是真在干活。找一台测试终端，分三步操作：

第一步，正常用DHCP获取地址，确认能ping通网关。此时查看绑定表，确认表项生成。

第二步，在终端上把IP手动改成同网段的另一个空闲地址，比如192.168.10.200，MAC不变。然后立刻ping网关。预期结果：不通。因为绑定表里没有（192.168.10.200，原MAC）这个组合，交换机直接丢弃。

第三步，把IP改回192.168.10.101，但在网卡属性——高级——网络地址里，把MAC地址改成另一个值，比如00e0-4c12-9999，然后ping网关。预期结果：同样不通。因为MAC地址变了，和绑定表里的MAC对不上。

实测中如果发现第二步或第三步竟然还能通，最常见的原因是测试的MAC地址或IP地址恰好还在另一条绑定表里（比如之前某台设备用过这个IP），或者交换机上IPSG没在正确的VLAN/接口下生效。这时候回到第5.1节，重新核对表项和配置范围。

5.3 丢包统计与抓包排查

验证攻击流量被丢弃，除了看终端ping不通之外，还可以在交换机上查丢弃计数。华为的命令：

text复制display ip source check drop

输出里能看到被IPSG丢弃的报文计数。每次模拟攻击后重新执行一次，计数递增，说明交换机确实在执行丢弃动作。H3C上查看 display ip verify source，输出里会有Drop报文字段；思科用 show ip verify source 加 show ip dhcp snooping 核对。

如果丢包计数不涨但终端确实不通，那问题可能不在IPSG，而在交换机其他过滤机制、ACL、VLAN隔离或三层策略。这时候最有效的办法是端口镜像。把测试端口流量镜像到抓包口，用Wireshark看报文是否到达交换机、是否带正确的VLAN tag、源MAC是真实网卡MAC还是被软件改过的。很多“IPSG不生效”的假象，最后都发现是测试机发包时用了别的网卡或者虚拟网卡，源头就不对。

6. 上线后必踩的坑与排错思路

6.1 全网断网的三大经典原因

IPSG部署后如果出现大范围断网，90%是下面三个原因，按概率排序逐项排查。

第一个，信任口没配或配错。连接DHCP服务器或上联核心的端口没有设成trusted，DHCP Offer被交换机当成伪造服务器报文丢弃，终端拿不到地址。排查命令是 display dhcp snooping 看各端口信任状态。

第二个，VLAN内DHCP Snooping没开。全局开了，但 vlan 10 下没有执行 dhcp snooping enable，结果绑定表为空。IPSG开启后默认丢弃所有无表项报文，等于整个VLAN断网。查看 display dhcp snooping user-bind all 就能确认。

第三个，静态IP设备没有配静态绑定。打印机、门禁、监控、服务器这些设备在IPSG开启后全部被拒之门外。这个问题在部署前可以通过梳理网络里的静态IP设备列表来避免，临时应急的话可以在对应接口快速补静态绑定。

排障顺序从表项入手：先看有没有表项，再看表项来源是DHCP还是static，最后反查配置。不要一上来就猜配置问题，绑定表是IPSG的命根子，表项正常，问题就在别处。

6.2 手机MAC随机化带来的新麻烦

现在的手机默认都开启了MAC随机化，这对DHCP Snooping和IPSG是个巨大挑战。安卓和iOS的系统限制导致很多网管在后台看到的“真实MAC地址”其实每次都不一样，终端重新连接Wi-Fi后，MAC可能变化，DHCP流程重新走一遍，绑定表里就会不断新增老化项。

如果你在办公网里部署了严格的IPSG，手机用户会频繁出现“能连上Wi-Fi但上不了网”的情况，因为它们的随机MAC导致绑定表刷新跟不上，加上部分手机在休眠唤醒后才重新DHCP，期间发出的报文找不到绑定表项直接被丢。

我的处理思路是分区管理：核心办公区用802.1X准入加动态VLAN下发，IPSG作为兜底；访客区域单独开一个VLAN，不开IPSG或只做MAC数量限制；如果一定要对手机开IPSG，建议在AP侧关闭随机MAC（苹果的私有MAC、安卓的随机MAC都可以在SSID策略里关闭），让终端统一使用真实MAC接入。千万不要在办公网里同时开着IPSG和随机MAC而不做任何处理，否则投诉会接到手软。

6.3 DHCP租约与绑定表刷新那些事

绑定表跟着DHCP租约走，租约越短，表项刷新越频繁。办公环境如果DHCP租约设成默认的2小时，会出现一个现象：终端一直在用，但DHCP续租后的瞬间绑定表刷新，如果交换机此时正在查表，可能正好撞上一个空窗期，造成转发短暂中断。虽然不是每个终端都会遇到，但大批终端同时续租时，交换机CPU也会被DHCP报文冲击。

我的做法是把办公环境的DHCP租约调到8到24小时，减少刷新频率；同时开启DHCP Snooping的报文限速功能，防止某个端口突发大量DHCP报文打满CPU。另外，如果网络里有设备休眠后唤醒，绑定表可能已经老化，唤醒后重新DHCP之前对外通信会受限，这种情况在无线终端上最常见，现象是休眠一段时间后刚唤醒时上不了网，过几秒恢复。如果连接恢复时间过长，就要检查是不是IPSG表项老化和DHCP重获取之间的衔接有问题。

6.4 扩展交换机、无线AP、堆叠场景下的坑

接入端口下面再挂一台傻瓜交换机，这是很多办公室的常态。IPSG在这个场景下不是不能用，但要注意：绑定表记录的是终端接入的最外层端口，如果傻瓜交换机下面接了多台终端，只要它们都通过DHCP获取了地址，绑定表里会有多条记录，流量也能正常通过。问题出在，下面如果有一台静态IP设备，这台设备没有绑定表项，会被丢弃。

无线AP接入交换机的场景更隐蔽。AP本身是一个管理地址，如果交换机接入AP的端口开启了IPSG，AP自己的IP也要有绑定表项，否则AP掉线，终端全部受影响。我的建议是，如果有独立的AP管理VLAN，可以在管理VLAN内对AP做静态绑定，用户流量VLAN暂时不开IPSG，先保证业务稳定，之后再加策略。

堆叠和链路聚合场景下，绑定表的端口维度是物理端口还是逻辑端口，不同厂商、不同版本处理不一样。升级版本或更换堆叠成员后，建议重新核对绑定表，确保没有因为逻辑端口变化导致表项失效。

6.5 和DAI一起用才完整

IPSG管的是IP报文，它防得住IP欺骗和MAC欺骗，但防不住ARP欺骗。攻击者不被IPSG拦截，是因为它发的ARP报文根本不是IP报文，而是二层ARP帧。这就是为什么在生产环境里，我建议IPSG和DAI（Dynamic ARP Inspection，动态ARP检测）一起部署。

DAI和IPSG共用同一张DHCP Snooping绑定表。在非信任口上，它对ARP报文做校验，只有源IP、源MAC和绑定表一致的ARP请求或应答才被转发，不一致的直接丢弃。这样一来，IPTABLE只能管数据报文，ARP层面则由DAI兜底，两套机制组合起来才能对内网欺骗攻击形成闭环防护。配置顺序仍然是先DHCP Snooping，再开DAI，最后开IPSG，三者的依赖关系是层层递进的。

7. 我实际用下来的一点体会

IPSG这套机制，原理不难，命令也少，但真正上线的时候，考验的不是配置，而是对网络现状的把握。我总结了四条实战经验：

第一，部署前先盘点终端类型。统计哪些设备走DHCP，哪些设备是静态IP，哪些设备会频繁变化MAC地址。这一步做扎实，后面的故障能少一大半。

第二，分批上线。不要在一夜之间全网铺开，先挑一个VLAN或一栋楼做试点，观察一周再推广。这个机制只要有一个固定IP设备没绑定，就是一片断网事故。

第三，把配置沉淀成模板。DHCP Snooping、信任口、IPSG、DAI这四层配置，不同品牌命令有差异但逻辑一致，整理成自己的标准化配置模板，新项目直接套用，减少手敲出错。

第四，预留回滚方案。任何安全特性上线都有风险，配置前把 display current-configuration 完整备份，给每个改动步骤拍照留底，一旦出现问题能快速回退。

如果你正在规划内网安全加固，IPSG是投入产出比非常高的一个功能——它不需要额外买设备，不增加终端成本，只是把交换机原本就有的安全特性用起来。花半天时间把绑定表和信任口捋清楚，换来的可能是以后无数个安稳的夜晚。